企业上云安全策略手册

云深不知处——2016企业上云安全策略指南2016年1月

互联网实验室观点 价值与安全是企业做出上云决策的两个支点。面对上云决策，企业需要在价值需求与安全需求之间形成最适合于企业自身进展战略、业务特性的决策天平。在对价值支点的推断上，云是大势所趋差不多深入人心。企业能够通过对内部IT成本的核算和业务进展情况等内部信息对上云的价值做出有效评估。企业假如能将云的诸多优点引入生产、运营、服务环节之中，就能够在制造新的商业模式、持续创新、降低成本等方面释放巨大的价值潜能。例如：有了云，用户不再需要购买、建立、安装并运行昂贵的计算机硬件，而通过无处不在的可用有线或无线网络，就可简便的猎取计算机资源，正如猎取其他公共资源一样；云还具备弹性，用户能够快速同时经济的增加或者减少云服务；云共享的计算机资源能够提供客观的经济效益，同时能够减少成本、加快创新；云提供的服务差不多存在，能够在需要时按需分配，按需扩容；用户能够快速同时经济地计算自身云服务的吞吐量，并据此进行相应调整。而在对安全支点的推断上，无法排解的安全忧虑导致企业上云迟疑甚至可能引发决策反复。企业在将转移IT解决方案到云计算的同时，由于企业客户基础设施和应用程序的外部化使得企业的完全操纵权发生变化，安全保障的不透明性和不可控性使得上云企业对云服务有效存储和安全共享等方面存在一定的安全风险顾虑。在调研中我们发觉，企业关于上云后的数据安全的担忧差不多上覆盖了云端数据安全的整个生命链条：例如数据传输和存储是否安全；数据访问操纵权限是否可控；数据是否会被入侵、被攻击；漏洞或系统不稳定是否造成企业用户的业务中断、数据被盗、被篡改？这些现实情况使得中国企业上云之路呈现出漫长曲折的形态。以基于价值与安全感知的企业云决策象限来谋求破题之道。在项目初期，我们对有上云需求的企业进行初步接触时发觉，企业或者无限期地延缓上云行动；或者在上云后出现决策反复；或者认为云有优点，但也有不确定风险，需要慎重上云；甚至或者即使经在用云，仍对安全抱有较大不信任。因此，我们在报告当中以企业对云价值的释放是否清晰，企业对安全的感知、需求是否明确为维度描绘了如下企业云决策象限。安全需求的模糊性会加重决策天平的不稳定性，企业所面临的难以权衡取舍的决策困境需要破解。面对安全问题，企业要基于对外部信息结合自身IT能力和需求进行推断，这无疑是难度更大的，尤其是难以形成量化结论。难以言喻的IT功能外部产生的失控感又大大加重了上云决策中安全需求的主观法码。我们将基于区分企业对云的安全感知状态来拨开企业云安全感知迷雾。企业对云的安全感知状态大致能够区分为两类，不管是哪一种状态，都会成为企业做出客观、理性的云决策的阻碍因素。第一，企业存在安全认知盲区会降低在做出决策时对云服务商安全能力的审视敏感性。企业是否具备了客观审视云的风险特征的足够信息支撑？企业是否有充足的云安全认知能够在成本考量的基础上最大程度防备安全风险，又能够在一旦安全事故发生后的如何最大化的降低损失？假如企业知晓的安全信息不够全面，就会降低对云服务商安全能力的审视敏感性，阻碍业务在云中的实际运行安全。第二，操纵权迁移引发的不安全感可能错估上云时机。多家研究机构的统计调研数据均证实企业对云服务安全的担忧是全球范围内面临的上云障碍。假如企业在带有不安全感的心理状态下来审视云服务商，有可能因为主观的不信任而阻碍了客观、理性的对上云之路，以及云合作伙伴基于安全视角的审视与决策，就会错估享受云效益的时机。云安全问题的破题需要映射到云服务商的安全实践表现，我们建立云安全能力指标体系协助企业做出最佳决策。我们提出企业进行云安全审视的两条差不多原则，第一，企业查找领先的云，考虑企业与云的最佳结合状态；第二，企业清晰地了解云服务商的安全机制与安全责任。依托于上述两个差不多原则，本报告从泛安全的信任基础、物理资源基础设施的安全部署能力、内部人员的治理流程、应急响应能力、数据安全爱护能力、合规性表现六个方面构建了19个细化指标的云安全能力指标体系，对云服务商的安全实践进行比较。本报告通过云服务商安全能力指标体系的构建，关心企业构建充足的关于云服务商安全能力的研判信息，通过对比云服务商来了解上云需关注的安全环节，即可对上云安全做到心中有数，应对有术。从而在上云决策中，提升基于安全视角的理性、客观性，优化的最佳决策。

目录TOC\o"1-2"\h\z\u互联网实验室观点 lxix表明遵从————————天翼云表明遵从————————制图：互联网实验室，2015年12月（表格“—”处为截止到制表时公开渠道未查知）法律遵从方面，医疗、教育、金融等专门行业的法律遵从更具有典型意义。（1）国内云服务商偏向简单表述法律遵从，淡化了法律遵从对客户的意义。三家云服务商在法律遵从方面的声明比较概要，没有针对专门行业的精细化内容，不利于企业用户直观理解一些他们所关怀的内容。这也许是中国市场的专门环境所决定，但这种模式不符合成熟市场对云服务商的理解。（2）国外云服务商尤其明确遵从教育和医疗行业对数据传输限制的法律。亚马逊AWS和微软Azure都遵守家庭教育权和隐私权法案和美国健康保险流通与责任法案的要求，明确云服务处理环境维护学生和医疗方面的信息，限制传输相关的数据。亚马逊AWS创建符合HIPAA的医疗数据应用程序白皮书概述了公司如何使用亚马逊AWS来处理促进HIPAA和HITECH合规性的系统。（3）亚马逊AWS严格遵从专门敏感领域对数据跨境流淌安全的限制条例。武器出口项目对信息的爱护极其严格，必须要求掌握防止意外出口。亚马逊AWS能成为美国国际武器贸易条例的遵从方，在爱护和限制数据访问方面完全遵守该条例。讲明亚马逊AWS的信息安全治理技术和能力获得了专门行业部门的认可。尽管亚马逊AWS等国外云服务商遵从的法律并不完全适用于中国市场，然而在网络空间和全球一体化的大背景下，数据流淌和爱护是必须要面临的问题。他们在数据跨境法律遵从方面的有益实践能够让国内用户企业感受到作为一个负责任的云服务商切实遵从法律的义务和合规要求。

结论企业上云是大势所趋，关于上云企业而言，针对是否要将业务等转移到云端，企业必须认真考虑风险问题，考虑云计算如何能够加强他们的业务价值，实现他们的IT目标，尽量降低可能面临的风险。因此，企业需要对云服务的安全功能有更加具体的认知。我们通过非技术测评角度对国内外五大云服务商在涉及到云安全的六大方面，通过19个细化指标进行能力对比与论证，旨在通过此种方式将云服务商的安全实践转化为云用户的云安全认知结构，使企业用户在建立起云安全认知体系的基础之上考量自身业务如何与云服务完美嫁接。以下是以每个云服务商为主体，对云服务所涉及到的泛安全的信任基础、物理基础设施的部署、内部人员治理、事故响应、数据安全爱护和合规性表现六大安全板块进行的安全能力水平归纳总结，便于企业用户系统了解云服务安全性，参考进行云决策。亚马逊AWS差不多呈现出全球领先的云安全保障能力。在美国完善的安全政策、法律和市场环境下，身为云计算服务鼻祖的亚马逊AWS，多年的进展经验使其在市场规模及计算能力等泛安全的信任基础、物理基础设施的部署、数据安全爱护、内部人员治理和合规性表现等方面进展形成了领先的安全保障能力。其与趋势科技等国际领先安全服务类公司强强联合，不断完善安全保障的生态系统，其安全市场领先地位也进一步被夯实。微软Azure通过合作方式，加快在中国的产业落地。微软Azure天然的安全保障能力也得益于美国完善的政策、法律和市场环境，其拥有亚马逊AWS未获得的FISC等认证，然而缺少国内针对中国云市场的ISO27017和ISO27018认证。另外，在计算能力和商业价值方面略逊色于亚马逊AWS。阿里云安全市场布局速度加快。阿里云在中国获得了本地化的相对优势，并在深入理解国内用户需求的基础上提出了“安全托管”服务。数据安全爱护方面，阿里云规模性的、迅速的与第三方开展合作，不断完善数据安全保障能力。虽比国外云服务商获得的认证标准少，但与国内云服务商相比，其获得的相关认证数量处于领先地位。腾讯云安全市场不容小觑。腾讯云也在不断与安全服务商开展合作，其凭借多年积存的安全保障经验也覆盖了一定规模的云服务市场。合规性方面，也差不多满足国内常见的云安全服务认证。但在细分维度下腾讯云还存在一定的安全保障缺口。天翼云仍需补足多方面的安全能力。基于运营商的身份背景，天翼云在数据中心的部署上差不多形成了明晰的层次，然而在内部人员治理、数据安全技术和第三方认证的猎取上面依旧与国内外的其他服务商存在差距，需要完善。

后记：共筑云安全更佳状态需要各方参与时刻走到2015年，差不多专门少有人怀疑云计算的趋势和能量，但安全因素依旧阻碍着组织上云的步伐。安全必定是一个持久问题，需要云服务商与双方增强沟通，划清职责，需要制度的参与共同保障安全的云环境。政策层面上，云安全标准制度、物理设施标准、安全法律责任、安全运维治理等方面的标准建设比较滞后，政府层面应该大力加快完善。该方面应该充分借鉴云普及率高的地区的信息安全治理经验和相关标准，制订符合本国国情的信息安全标准。大力促进这一能够全面提升生产效率的新型服务模式。关于云服务商来讲，其一，云服务商需要提高自身安全服务能力，也有责任和义务为客户提供优质的信息安全生态环境。云服务商为了提升客户的安全感，可不断地构建云安全生态环境，让有能力的信息安全厂商或符合客户要求的产品公平竞争，提供客户择优选择。其二，云服务商需要引导客户提高安全认知与安全意识，公开分享一些云服务的最佳实践是重要的举措，这对企业上云有较好的促进作用。实践层面上，企业的云之旅专门难脱离自身业务单独去谈安全。国内云服务处于起步时期，有相当一部分传统IT企业技术能力较为薄弱，部分企业也存在责任失衡的错误认知，企业也许能在本读本中获得上云的参考，明确自身与云服务商之间如何样保持最佳关系。首先，企业需要走进云服务商，加快对云计算的认识从概念走向实践，并能够在其建设云计算平台过程中给出指导意见。与云服务商的广泛交流以及内部分享学习的强化，协助企业上云的咨询机构进行交流，有助于企业内部关于云服务采购和治理方面技能和知识的进步。其次，企业需要在自我加强关于数据全周期治理能力，明晰自身需要做出的安全防护职能。最后，企业需依照自身的业务特点针对性的去评估云服务商的安全能力。企业还能够不断地尝试触及云，压缩云从概念到落地转化之间的时刻差。企业对云计算当中蕴藏的巨大价值还没有充分的进行挖掘，导致云从概念到落地的转化存在一个时刻差。由于企业不需要白费购买计算硬件而带来的资源闲置，上云就意味着节约成本的印象已被众多的企业所同意。然而我们却不得不讲，这不足以成为撬动企业充分上云的唯一优势支点。以生产型企业为例，云计算结合物联网、大数据技术、机器人，能为生产智能化制造技术条件。设备与产品的生产运行过程数据化，数据通过网络连接上传到云端，行业大数据的积存与分析能够找到生产过程中系统运行、参数设置等方面的最佳状态，通过数据的实时比对，能够发觉生产过程存在的问题，及时加以解决，使整个生产过程高效化、精准化，从而提升生产效率，制造更大的利润价值。因此，企业也需要不断地触及云，将云视为一种粘合剂，使这种新的IT供应模式、计算模式与企业自身环境结合在一起，将对云的IT投资视为在新的领域制造新的生产能力的价值释放理念纳入到上云决策之中。

常见问题1.互联网实验室希望读者如何阅读本报告？我们将本报告定位为企业在进行上云决策和调整过程中的最佳云安全读本，即在报告的逻辑框架上我们时刻注意与企业就安全这一话题进行交流。本报告仅为云服务商在安全部署方面的表现展示，并给予了一定的比较结论。这并不代表企业能够以本报告的结果作为进行云决策的唯一参考依据，企业还需要结合企业自身的环境与业务，在综合考量云服务商的其他能力要素的基础上做出最佳的决策。2.如何理解本报告将五家云服务商纳入对比？目前国内云计算市场参与逐鹿的企业属性呈现多元化的特点，不仅有传统的IT公司、电信运营商、还有大型互联网平台企业、创业公司，且提供云产品的理念与形态也仍处于演变进化的过程中。本次研究对象的选择在考虑市场表现的之外，希望覆盖不同企业类型、业务形态的云服务商的云安全实践展现。没有纳入本次对比的云服务商并不代表其在云安全能力部署上处于弱势，今后随着本项目的深入拓展，我们希望能够尽可能地为读者纳入更多的云服务商在安全实践方面的优秀行动。3.本报告所搭建的安全能力评价体系与国内外公布的云安全标准、云安全指南之间是什么关系？在搭建云安全能力框架时，我们重点参考了CSA的《云安全指南》中涉及到的14个云安全关键域，欧洲网络与信息安全局（ENISA）颁布的《CloudComputingBenefitsRisksandRecommendationsforInformationSecurity》中所提及云计算存在的35个风险。上述提及的云安全指南与报告在阐述云安全的各项风险域差不多达到了特不细致的程度，然而由于云安全所涉及的知识领域相对复杂，涉及到法律风险、技术风险、以及关于非云特有的风险，不管关于企业决策者依旧负责相关职能的IT从业人员，均专门难对上述领域的知识做到完全覆盖。我们希望在参考上述云安全指南和报告的基础之上，将云关键安全能力解释转化为企业、公众可理解的信息，以期关心企业构建相对系统、全面的云安全知识体系。如需了解更为详细的标准，我们也列举了以下文档，以供参考。CSA——《SecurityGuidanceforCriticalAreasofFocusinCloudComputing3.0》；《CloudSecurityGuideforSMEs——CloudcomputingsecurityrisksandopportunitiesforSMEs》ENISA——《CloudComputingBenefitsRisksandRecommendationsforInformationSecurity》4.本报告所搭建的安全能力评价指标与对比结果是否可作为技术测评结果？由于本报告强调基于公开信息来关心企业构建充足的关于云服务商安全能力的研判信息，通过对比云服务商来了解上云需关注的安全环节，即可对上云安全做到心中有数，应对有术，从而在上云决策中，提升基于安全视角的理性、客观性，优化的最佳决策。本报告旨在通过非技术测评方式向传达用户辅以上云决策之路的安全知识体系，在实践当中，假如企业用户需要对云服务商的相关指标猎取技术测评，企业用户可依托于本报告提及的信息，寻求专业测评机构的测评结果，作为辅助云决策的另一方面的客观信息。5.当企业差不多面临进行IaaS、PaaS、SaaS等不同的云服务模式选择时，在本报告所展示的信息基础上还需要考量哪些内容？由于本报告对云安全问题的破题映射到云服务商的安全实践表现，以云服务商主体作为安全实践对比的一级维度，由于IaaS、PaaS、SaaS服务模式的不同，所需要的安全需求与安全问题也会不尽相同。例如，不同云服务模式不同的云服务模式理想中合规性责任分担是不同的。以企业向IaaS转移为例，IaaS的合规性责任分担合理模型是：公司操纵数据和应用程序；公司共享操纵虚拟服务器；云服务商操纵物理服务器、存储和网络。希望读者在通过本报告对云安全实践有差不多的认知之后，能够更加深入的结合自身的业务模式，结合自己需要选择的云服务模式后接着考虑云安全问题。6.在报告中提及了与企业进行的交流访谈，如何看待提及的企业调研结果的意义？我们在项目周期内与小规模的不同类型的企业进行了电话或者面对面交流，然而报告中提及的企业的交流方法均不具备统计学意义。通过小范围的调研，我们也发觉了不同企业对上云、对上云安全的不同认知，在今后的立项中希望展开具有统计意义的大范围调研，来解答目前解答不了的问题。云服务商信息来源讲明亚马逊AWS：以亚马逊AWS截止到2015年11月的官方网站公开内容和网站上可供下载的各类安全白皮书为要紧参考资料，并辅以各类专业新闻资讯类网站信息，包括国外相关网站。微软Azure：以Azure官方网站公开更新时刻为2015年5月的内容和世纪互联网站截止到2015年11月的公开内容为要紧参考材料，并辅以国内外各类专业新闻资讯类网站信息。阿里云：以2014年1月公布的《阿里云安全白皮书》中文版和截止到2015年11月阿里云官方网站公开的内容为要紧参考资料，并辅以各类专业新闻资讯类网站信息。腾讯云：以2015年10月公布的《腾讯云安全白皮书》和截止到2015年11月腾讯云官方网站公开的内容为要紧参考资料，并辅以各类专业新闻资讯类网站信息。天翼云：以截止到2015年11月天翼云官方网站公开的内容为要紧参考资料，并辅以各类专业新闻资讯类网站信息。报告涉及云服务商的信息均来自于相关云服务商及业界公开资料。为确保信息准确，结论公正，项目组执行了信息确认流程——将报告核心信息通过公开渠道递送至以上五家云服务商。截止2016年1月4日，项目组收到亚马逊AWS、阿里云、腾讯云的回复，并依照反馈意见结合公开信息对部分细节进行了修正。微软Azure及天翼云未回复确认信息，报告在保证信息来源清晰的前提下，提示读者